L'hameçonnage, qu'est-ce que c'est? Le reconnaître, et quoi faire si vous avez cliqué

L'hameçonnage est une technique de fraude fondée sur l'usurpation de l'identité d'une entité légitime, explique l'Office québécois de la langue française (OQLF) : le message imite l'apparence d'une banque, d'un ministère ou d'une entreprise connue pour vous amener à révéler des renseignements sensibles ou à télécharger un logiciel malveillant à votre insu. Il arrive par courriel, par texto (on parle alors d'hameçonnage par texto), par messagerie instantanée, par un faux site Web, par une fausse application ou même par un code QR. Et on écrit « l'hameçonnage », pas « le hameçonnage » : le h est muet, rappelle l'OQLF.

Ce que cherchent les fraudeurs

Le gouvernement du Québec résume le but : vous faire croire que vous vous adressez à une entité légitime pour obtenir vos mots de passe, votre numéro d'assurance sociale ou votre numéro de carte de crédit. Le lien peut aussi mener à un logiciel malveillant, et l'hameçonnage sert souvent de porte d'entrée à d'autres crimes, comme les rançongiciels. Le Centre antifraude du Canada (CAFC) cite les leurres habituels : une mise à jour de compte, un remboursement d'impôt « prêt », une facture pour un achat récent, un avis de livraison ou une citation à comparaître, souvent au nom de l'Agence du revenu du Canada, de la GRC ou d'un service d'abonnement en ligne.

Les signaux d'alarme qui restent fiables

• L'urgence ou la menace : un compte qui sera fermé, une poursuite, une amende. Pensez cybersécurité le rappelle, les vrais messages d'urgence ne sont pas envoyés par courriel.
• Une demande de renseignements sensibles : mot de passe, NIP, code de vérification, numéro de carte. Une organisation légitime ne vous demandera habituellement pas de les confirmer par un courriel ou un texto non sollicité.
• Une offre trop belle : un prix à un concours auquel vous n'avez pas participé, un héritage inattendu, le remboursement d'un article jamais acheté.
• Un expéditeur ou un lien qui ne colle pas : une adresse presque identique à la vraie, un lien qui ne mène pas au site officiel. Sur ordinateur, placez le curseur sur le lien pour voir l'adresse réelle avant de cliquer, conseille le gouvernement du Québec. Mais ne présumez pas qu'un message est légitime parce que l'adresse courriel semble bonne : le CAFC prévient qu'elle peut être falsifiée.
• Une pièce jointe que vous n'avez pas demandée, un nom de fichier bizarre ou un type de fichier inhabituel.
• Un code QR à scanner : le CAFC le range parmi les tactiques d'hameçonnage.

Ne comptez plus sur les fautes. Le CAFC souligne qu'avec l'intelligence artificielle, des indices comme les fautes d'orthographe, les formulations maladroites ou les images de mauvaise qualité ne sont plus toujours présents : un message bien rédigé, un site d'apparence professionnelle ou un numéro familier ne prouvent pas que l'expéditeur est celui qu'il prétend être. Le gouvernement du Québec ajoute que l'IA permet de créer de faux sites de plus en plus proches de l'original.

Hameçonnage, harponnage, mystification : les variantes

• L'hameçonnage classique : des messages génériques d'apparence authentique, envoyés en masse.
• Le harponnage : un message ciblé qui semble venir d'une personne que vous connaissez. Au premier semestre de 2026, il a fait déclarer au CAFC quelque 57,7 millions de dollars de pertes, souvent par des entreprises dont les paiements ont été détournés.
• La chasse à la baleine : une attaque qui vise des dirigeants ou des gestionnaires.
• La mystification : un faux site Web créé pour recueillir vos renseignements dans un environnement qui semble légitime.
• Le vol de code : un fraudeur tente de se connecter à votre compte, ce qui vous envoie un vrai code à usage unique, puis vous appelle pour l'obtenir. Comme le résume le CAFC, le code est légitime, mais pas la personne qui le demande.

Vous avez cliqué ou donné vos renseignements? Quoi faire

1. Si vous avez donné des renseignements bancaires ou un numéro de carte, communiquez tout de suite avec votre institution financière, au numéro inscrit au verso de votre carte ou par son application officielle.
2. Changez le mot de passe touché, et celui de tous les comptes où vous l'utilisiez. Pensez cybersécurité suggère des phrases de passe d'au moins quatre mots aléatoires et 15 caractères.
3. Activez l'authentification multifactorielle sur ces comptes.
4. Si le message contenait un lien ou une pièce jointe que vous avez ouverts, analysez l'appareil avec un logiciel antivirus.
5. Conservez les messages, les adresses des sites et les reçus.
6. Signalez l'incident à votre service de police local, puis au CAFC, en ligne sur le site Signaler la cybercriminalité et la fraude (même de façon anonyme) ou au 1-888-495-8501, du lundi au vendredi, de 10 h à 16 h 45 (heure de l'Est).
7. Méfiez-vous ensuite des offres pour « récupérer » votre argent : le CAFC rappelle que les escrocs ciblent souvent leurs victimes une deuxième fois.

Où signaler l'hameçonnage au Canada

• Un texto suspect : transférez-le au 7726 (SPAM sur la plupart des claviers). C'est gratuit, sans effet sur votre forfait, et votre fournisseur de services sans fil s'en sert pour protéger ses clients.
• Une tentative, même sans perte : le CAFC recommande de signaler une fraude, que vous en ayez été victime ou non.
• Un message au nom de Revenu Québec : communiquez rapidement avec l'organisme pour qu'il ajoute des mesures de protection à votre dossier, et signalez-le aussi au CAFC.
• Un danger immédiat : composez le 911.

Un antivirus protège-t-il de l'hameçonnage?

En partie. Le gouvernement du Québec recommande un antivirus sur les appareils mobiles, notamment contre les tentatives d'hameçonnage, et la navigation sécurisée de Chrome avertit des sites d'hameçonnage connus. C'est un filet, pas une garantie : le réflexe qui compte reste de vérifier la demande par un autre moyen, avec des coordonnées que vous avez trouvées vous-même.

Un message inattendu qui vous presse n'est jamais une raison de cliquer. Passez par l'application ou le site que vous connaissez : si le problème existe, vous l'y trouverez.